SPDZ 与基于秘密份额的算术 MPC

布尔 MPC 处理位（XOR/AND）。算术 MPC 处理整数或域元素，可以直接支持加法和乘法。它更适合机器学习和统计应用。

值 x ∈ Z_p 被共享为 x = x_1 + x_2 + ... + x_n mod p。共享值的加法无需额外成本：每个参与方在本地将自己的份额相加。不需要通信。

要将份额 [a] 和 [b] 相乘，参与方会预先分发一个 Beaver 三元组（[a_t]、[b_t]、[c_t]），其中 c_t = a_t·b_t。在线乘法只需要一轮通信。

SPDZ（Damgård 等人，2012 年）=“基于部分同态加密的分布式零知识”。离线阶段通过 SHE 生成经过认证的三元组。在线阶段使用加法份额快速求值。

每个份额都带有一个 MAC：MAC(x_i) = α·x mod p，其中 α 是全局秘密密钥。这可以防止恶意参与方在不被发现的情况下篡改自己的份额。

SPDZ 离线阶段使用部分同态加密（BGV/BFV）。参与方以同态方式相乘各自的份额，以生成经过认证的 Beaver 三元组。这个阶段计算密集，但可以并行执行。

给定三元组 ([a],[b],[c]) 和输入 [x]、[y]：公开 d=x-a 和 e=y-b（这些值经过掩码，因此不会泄露信息）。然后 [x·y] = [c] + d·[b] + e·[a] + d·e。只需要一轮通信。

MASCOT 使用 OT 扩展替代 SHE 离线阶段，从而在较小的域上更快地生成三元组。对于两方 SPDZ，它是首选的离线方案。

多家医院可以在不共享患者记录的情况下计算患者平均年龄。每家医院都将自己的数据编码为算术份额。SPDZ 计算总和与数量；参与方只能获知二者的比值。

SPDZ-2k（Cramer 等人，2018 年）扩展到 Z_{2^k}，支持适合机器学习的定点算术。MP-SPDZ 库的基准测试显示，两方通过 LAN 每秒可完成 100 万次乘法。

Beaver 乘法三元组在算术 MPC 中的作用是什么？

算术 MPC 使用 Z_p 上的加法份额。加法无需通信；乘法在一轮通信中使用 Beaver 三元组。SPDZ 通过 MAC 实现恶意安全。MASCOT 使用 OT 快速生成三元组。MP-SPDZ 让这些技术具备了实际应用能力。